WiFi: el perímetro que se sale del edificio

Todo lo demás que proteges tiene una puerta. El servidor está en un armario con llave, la oficina tiene portero automático, los portátiles salen de allí con contraseña. El WiFi no. El WiFi atraviesa la pared y sigue.

El perímetro que se sale del edificio

La cobertura de tu red no termina donde termina tu suelo. Baja al portal, cruza al local de al lado, llega al aparcamiento y a la acera de enfrente. Eso no es un defecto de instalación, es cómo funciona una antena. Lo que sí es un problema es que casi nadie ha medido hasta dónde llega la suya.

Y la diferencia con el resto de tu perímetro es grande: aquí el intruso no tiene que entrar. No fuerza una puerta, no pasa por delante de recepción, no sale en ninguna cámara. Se sienta cerca, escucha y prueba. Si hoy no lo consigue, vuelve mañana. En tu oficina no queda constancia de que lo haya intentado.

La red de invitados envejece sola

Este punto no hace falta que te lo cuente nadie: puedes comprobarlo tú esta tarde.

Pregunta en tu oficina quién se sabe la contraseña del WiFi de invitados. Cuenta a los comerciales que pasaron el año pasado, al técnico que vino a la fotocopiadora, a los candidatos de las entrevistas, al hijo de alguien que estuvo esperando una hora. Esa red se puso un día para una visita concreta y desde entonces no la ha tocado nadie.

Ahora conéctate a ella y mira dos cosas. ¿Ves la impresora? ¿Ves la carpeta compartida? Si la respuesta a alguna es que sí, esa no es una red de invitados: es tu red con otro nombre, y con la contraseña en manos de gente que ya ni recuerdas.

La contraseña no es lo único que se prueba

Cuando se audita un WiFi, la contraseña es el principio, no el final. Estas son tres configuraciones concretas que se buscan:

• El punto de acceso olvidado. Una sala que se dejó de usar, o una planta que se reorganizó, y un equipo que sigue enchufado aceptando conexiones con la configuración que tenía el día que se instaló.
• La red temporal que se quedó. Se levantó para una obra, para un evento o para un TPV concreto, con las prisas de ese día, y ya nadie se acuerda de retirarla.
• Lo que venía de fábrica. El WPS activado porque venía activado, la contraseña de administración del router que sigue siendo la de la pegatina, el firmware de cuando se compró.

Ninguna de las tres es un fallo técnico exótico. Las tres son cosas que se quedan ahí porque el WiFi funciona, y mientras algo funciona nadie lo mira.

Qué sabes cuando termina

Una auditoría WiFi se hace en tus instalaciones y se prueba desde donde probaría un atacante: desde la calle, desde el local de al lado y desde una mesa de dentro. Lo que te llevas no es un aviso de que cambies la contraseña. Es hasta dónde llega tu señal medida sobre plano, qué se alcanza desde cada uno de esos sitios, y qué huecos conviene tapar primero, ordenados por lo que ponen en juego y no por lo aparatoso que suene el nombre.

Encontrarlo es nuestro trabajo. Lo que hagas después lo decides tú, con quien tú quieras, pero sabiendo por dónde se empieza.